業界調査は以前から、CISOの在任期間が他のC-suiteの役職に比べて短いという結果を示してきました。その理由の一端は、評価基準の二重構造にあります。採用の場面で重視されるのは技術力の深さ、セキュリティ分野での経験、そしてリーダーシップです。しかし予算編成の季節が来て取締役会がリーダーの成果を評価する段になると、見られるのはコスト、成長、顧客からの信頼、ブランド保護という別の物差しになります。
多くのCISOがこの矛盾を痛感しています。彼らはセキュリティ畑、あるいはリスクやコンプライアンスの分野でキャリアを積んできたため、その領域では雄弁に語れます。しかし取締役会はそうではありません。取締役会が朝一番に考えるのはコスト、成長、そして顧客との約束であり、自らの仕事をその言葉に結びつけられないセキュリティリーダーは、重要な存在とは見なされても、戦略的な存在とはめったに見なされません。
この背景には、CISOという職務そのものの定義の仕方も関係しています。長らく、CISOの成功は「何も起きなかったこと」を証明する、つまり否定形を立証することで測られてきました。これは本質的に不可能な使命であり、この職務全体を事業の推進力としてではなく、保険のような存在として位置づけてしまいます。
事業側の期待は間違っていない
セキュリティは購買判断において大きな役割を果たしています。McKinseyが2026年初頭に実施した、企業向けテクノロジーの購買担当者3,000人超を対象とした調査では、データプライバシーとコンプライアンスが顧客の懸念事項として単独で最も重要な項目に挙げられ、回答者の半数以上がこれを指摘しました。セキュリティやコンプライアンスで基準を満たせないプロバイダーは、価格や機能にかかわらず検討対象から外されるケースが増えているといいます。同じ調査では、過去1年間にプロバイダーを乗り換えた購買担当者のうち、その最大の理由としてサイバーセキュリティを挙げた人が最も多く、価格、カバー範囲、信頼性を上回りました。信頼こそが取引の成否を分けるのです。それにもかかわらず、多くの企業では今なおセキュリティ部門は物事を遅らせるチームとして扱われ、他の全員が前に進むことに合意した後になって初めて始まるレビューの中に埋もれています。
私自身もCEOという立場から、買い手として、また上司として同じことを実感しています。自社のCISOと話すとき、私は彼のチームがいくつのアラートを処理したかを尋ねたりはしません。尋ねるのは次の3点です。私たちをどう強くしてくれているのか。私たちの成長をどう後押ししてくれているのか。そして、何か問題が起きたときに、どうやって復旧できるのか。私が知っているCISOは誰もが、強靭性と復旧力については語ることができます。しかし、信頼を証明することで契約を勝ち取り、事業の成長を具体的にどう後押ししているかを示せる人は、はるかに少ないのが実情です。
なぜこのギャップは埋まりにくいのか
では、なぜ日々の現実は今なお「余計な負担」のように感じられるのでしょうか。それは、現場の仕事の中身自体が変わっていないからです。コンプライアンスの負荷は増す一方です。PwCが実施した2025年版グローバル・コンプライアンス調査では、過去3年間でコンプライアンスの複雑さが増したことが自社の収益性を損なったと回答した経営幹部が72%に上りました。新しい枠組みが登場するたび、質問票が長くなるたびに、明確な見返りのないまま業務負担だけが積み上がっていきます。そのため現場のチームは、スケジュール上できる唯一のことをするしかありません。すなわち、証拠を年に一度まとめて収集し、取引先ごとにわずかに形式を変えて同じ質問への回答を繰り返し、次に進むのです。
ここに、「書類上は安全」であることの本当の問題があります。監査に合格したことや、ダッシュボードがきれいであることは、誰かが確認したその日にコントロールが機能していたことを示すだけで、それ以外の期間については何も語りません。そのため、顧客のセキュリティチームから「そのコントロールは今この瞬間も機能しているのか」と問われても、多くのベンダーは「機能していると思う」としか答えられません。この躊躇こそが、確認待ちの間に取引が滞る原因であり、しかもこれは商談パイプライン全体で繰り返されかねません。購買担当者も、意地悪でこうした質問をしているわけではありません。脆弱なベンダー1社が、自社の情報漏洩に発展するのを目の当たりにしてきたからこそ尋ねるのです。
これは努力不足の問題ではありません。こうしたチームは懸命に働いています。問題は設計そのものにあります。年次監査を乗り切ることを目的に組み立てられたプログラムは、どれほど運用がうまくいっていようと、常に「余計な負担」としか映らないのです。
戦略的なセキュリティとは実際どのようなものか
戦略的なセキュリティリーダーは、すでにこうした立ち位置を築き始めています。Virtruの「Hash It Out」ポッドキャストに出演したDave Brown氏(Andesite社CISOで『The Lean CISO』著者)は、セキュリティ運用を、取引を止めるものではなく、取引を前に進めるものとして語っています。彼は営業の商談に同席します。CROへの「短縮ダイヤル」とも言えるアクセスを常に確保しています。かつては数週間かかっていたセキュリティレビューを即日回答できるレベルにまで変えたエビデンス・ライブラリを構築しました。あるCEOがセキュリティリーダー本人と直接話すまで契約書にサインしなかった見込み客のエピソードも披露しています。一度の会話の後、その場で契約は締結されました。
どのCISOも、これを具体的なコミットメントに落とし込むことができます。仮に取締役会が来年50%の成長を求めているとしましょう。その目標に貢献するセキュリティリーダーであれば、次の3点にコミットするかもしれません。欧州市場に販売展開するために必要なコンプライアンス認証を4カ月以内に取得すること、顧客からのセキュリティ質問票への回答を12日ではなく1日で返せるようにすること、そして新たな契約上のセキュリティ条件に対応できる体制を、交渉の障害にならないだけの速さで整えておくことです。こう書き表すと、それぞれがCFOが営業予測と並べて追跡できる成長へのコミットメントのように読めます。しかも、これらはいずれもセキュリティ予算の増額を必要としません。必要なのは、既存の同じプログラムを、事業側がすでに重視している成果に向け直すことだけです。
「重要な存在」から「戦略的パートナー」へ
心強いのは、こうした働き方を実現するためのツールとデータはすでに存在しているという点です。そして購買担当者は、求めに応じて証拠を提示できる企業をすでに評価し始めています。プログラムが何を可能にしたか、その成果によってどんな取引がまとまり、どんな市場が開拓できたかを示せるセキュリティリーダーは、防いだ攻撃の件数を報告するだけのリーダーとは全く異なる予算折衝の場に臨むことになります。
セキュリティリーダーへの私からの助言はシンプルです。それは私自身が自らのチームに求めていることと同じです。自分たちのプログラムが「悪いニュースがなかったこと」だけで評価されるのをやめさせましょう。取締役会がすでに追跡している成果指標にプログラムを結びつけ、たとえ数字が芳しくないときでも透明性を持って報告し、四半期ごとに改善していることを示すのです。これを地道に続ければ、事業側はようやくセキュリティの真の姿に気づくはずです。それは、経営陣が持つ成長の源泉の中でも、最も明確なものの一つなのです。
[ CISO Forumで詳しく見る ]
翻訳元: https://www.securityweek.com/hired-for-one-job-judged-on-another-the-cisos-real-problem/
